Опубликована информация о трех XSS-уязвимостях Gmail

Опубликована информация о трех XSS-уязвимостях Gmail

Эксперт компьютерной безопасности Нильс Джунман (Nils Junemann) опубликовал техническую информацию о трех XSS-уязвимостях в почтовом сервисе Gmail. В результате успешного использования XSS-уязвимостей злоумышленникам удается скомпрометировать информацию о текущем сеансе пользователя, а при проведение целевой многоуровневой атаки, и вовсе, получить контроль над учетной записью.

Две уязвимости касались особенностей мобильного представления Gmail. Первая уязвимость заключалась в недостаточной проверке данных при формирование заголовка пересылаемого сообщения, что позволяло выполнить произвольный JavaScript-код в момент открытия письма со специально сформированным заголовком. Недостаточная проверка параметров поискового запроса, стала причиной второй XSS-уязвимостью. Третья XSS-уязвимость затронула параметры отображения отдельного сообщения, передает uinc.ru.

Однако, для выполнения внедренного JavaScript-кода пользователю необходимо проследовать по ссылке в письме, которая будет указывать на веб-сайт злоумышленников. Дело в том, что отображение письма требует знания уникального идентификатора пользователя и сообщения. Эти идентификаторы могут быть получены, например, путем внедрения в почтовое сообщение изображения, размещаемого на веб-сайте злоумышленников. Получив уникальный адрес просмотра, злоумышленники могут сформировать специальный URL-перенаправления, перейдя по которому пользователь выполнит вредоносный JavaScript в контексте веб-сайта почтовой службы Gmail.

По заявлению исследователя, все уязвимости были оперативно устранены сотрудниками компании Google. В качестве основной меры борьбы с еще неизвестными XSS-уязвимости, эксперты компьютерной безопасности рекомендуют использовать двухуровневую авторизацию и не открывать письма от неизвестных отправителей.

Подпишитесь на новости

Поиск по запросам об абортах могут изменить в пользу ресурсов соцподдержки

Российским поисковикам могут добавить новую задачу: при запросах об искусственном прерывании беременности приоритет должны получить ресурсы социальной поддержки женщин. Владимир Путин поручил правительству подготовить соответствующие предложения.

Готового механизма пока нет, сначала чиновникам предстоит объяснить, как это должно работать.

Пункт включён в перечень поручений по итогам заседания Совета по демографической и семейной политике. Срок подготовки предложений — 15 декабря 2026 года.

В документе используется формулировка «приоритетное индексирование». Она касается ресурсов, предоставляющих социальную поддержку женщинам в ситуации репродуктивного выбора, когда те ищут информацию об услугах по прерыванию беременности.

Какие именно поисковые системы затронет инициатива, какие сайты получат приоритет и как будут определять подходящие запросы, не уточняется. Технические требования ещё предстоит сформулировать.

Здесь важна разница между поручением подготовить предложения и уже изменённой выдачей. Документ не сообщает, что поисковики внедрили новые правила или получили готовую инструкцию по перестановке результатов.

Индексирование и ранжирование — тоже разные процессы, первое отвечает за включение страниц в поисковую базу, второе — за их порядок в результатах.

RSS: Новости на портале Anti-Malware.ru